ISO 27002:2022, Controle 5.3 – Scheiding van taken

Wat is het doel van controle 5.3?

Het doel van controle 5.3 Scheiding van taken in ISO 27002 is het verminderen van het risico op fraude, fouten en het omzeilen van informatiebeveiligingscontroles door ervoor te zorgen dat conflicterende taken worden gescheiden.

Controle 5.3 Uitgelegd

Beheersing 5.3 behandelt de implementatierichtlijnen voor scheidingstaken en plichten in een organisatie in lijn met de raamwerken van ISO 27001 .

Het principe houdt in dat sleuteltaken worden opgedeeld in subtaken en deze aan verschillende mensen worden toegewezen. Hierdoor ontstaat een systeem van checks and balances dat de kans op fouten of fraude kan verkleinen.

De controle is bedoeld om te voorkomen dat één persoon ongepaste handelingen kan plegen, verhullen en rechtvaardigen, waardoor het risico op fraude of fouten wordt verkleind. Het voorkomt ook dat één persoon informatiebeveiligingsmaatregelen kan omzeilen.

Als één medewerker alle rechten heeft die nodig zijn voor een bepaalde taak, is er een groter risico op fraude of fouten, omdat één persoon alles kan doen zonder enige controle en evenwicht. Als echter geen enkele persoon alle toegangsrechten heeft die nodig zijn voor een bepaalde taak, verkleint dit het risico dat een werknemer aanzienlijke schade of financieel verlies kan veroorzaken.

Wat komt erbij kijken en hoe kan aan de vereisten worden voldaan

Taken en verantwoordelijkheden die niet gescheiden zijn, kunnen leiden tot fraude, misbruik, ongepaste toegang en andere beveiligingsincidenten.

Bovendien is een scheiding van taken nodig om de risico's die gepaard gaan met mogelijke collusie tussen individuen te beperken. Deze risico's nemen toe als er onvoldoende controles zijn om collusie te voorkomen of op te sporen.

Om te voldoen aan de vereisten voor controle 5.3 in ISO 27002:2022 moet de organisatie bepalen welke taken en verantwoordelijkheidsgebieden moeten worden gescheiden en welke uitvoerbare scheidingscontroles moeten worden ingevoerd.

Waar dergelijke controles niet mogelijk zijn, met name voor kleine organisaties met een minimale personeelssterkte, kan het monitoren van activiteiten, audit trails en managementtoezicht kan worden gebruikt. Voor grotere organisaties kunnen geautomatiseerde tools worden gebruikt om rollen te identificeren en te scheiden, zodat conflicterende rollen niet aan mensen worden toegewezen.

Verschillen tussen ISO 27002:2013 en ISO 27002:2022

Het controlenummer 5.3 Scheiding van taken in ISO 27002:2022 is geen nieuwe controle. Het is eenvoudigweg een verbeterde versie van controle 6.1.2 Scheiding van taken uit ISO 27002:2013.

De basisprincipes van functiescheiding zijn hetzelfde in zowel controle 5.3 ISO 27002:2022 als controle 6.1.2 ISO 27002:2013. De nieuwe versie beschrijft echter een reeks activiteiten die scheiding vereisen bij het implementeren van deze controle.

Deze activiteiten zijn:

a) het initiëren, goedkeuren en uitvoeren van een wijziging;

b) het aanvragen, goedkeuren en implementeren van toegangsrechten;

c) code ontwerpen, implementeren en beoordelen;

d) het ontwikkelen van software en het beheren van productiesystemen;

e) het gebruiken en beheren van applicaties;

f) het gebruiken van applicaties en het beheren van databases;

g) ontwerpen, auditeren en borgen controles op informatiebeveiliging.

Wie is verantwoordelijk voor dit proces?

Er zijn meerdere mensen die verantwoordelijk zijn voor de scheiding van taken in ISO 27002. Eerst moet een senior lid van het managementteam erbij betrokken worden om ervoor te zorgen dat de initiële risico-evaluatie Het is gedaan.

Vervolgens moeten de processen die verschillende delen van de organisatie bestrijken, worden toegewezen aan verschillende groepen gekwalificeerde medewerkers. Om te voorkomen dat malafide werknemers de bedrijfsveiligheid ondermijnen, wordt dit meestal gedaan door taken toe te wijzen aan verschillende werkeenheden en de IT-gerelateerde operationele en onderhoudsactiviteiten in afdelingen te verdelen.

Ten slotte kan de scheiding van taken niet correct tot stand worden gebracht zonder een passend IT-auditprogramma, een effectieve strategie voor risicobeheer en een passende controleomgeving.

Hoe ISMS.online helpt

De nieuwe ISO 27002:2022-norm vereist niet veel anders van u upgrade uw ISMS processen die de verbeterde controles weerspiegelen. En als uw team dit niet voor elkaar krijgt, ISMS.online kan jou helpen.

ISMS.online stroomlijnt het ISO 27002-implementatieproces door een geavanceerd cloudgebaseerd raamwerk te bieden voor het documenteren van procedures en checklists voor informatiebeveiligingsbeheersystemen om naleving van erkende normen te garanderen.

Wanneer u ISMS.online gebruikt, kunt u:

• een ISMS creëren dat compatibel is met de ISO 27001-normen.
• taken uitvoeren en bewijs overleggen waaruit blijkt dat zij aan de eisen van de norm hebben voldaan.
• wijs taken toe en volg de voortgang in de richting van naleving van de wet.
• krijg toegang tot een gespecialiseerd team van adviseurs dat u zal bijstaan ​​tijdens uw hele traject richting compliance.

Dankzij ons cloudgebaseerde platform is het nu mogelijk om uw checklists centraal te beheren, te communiceren met collega's en een uitgebreide set tools te gebruiken om uw organisatie te helpen een ISMS te creëren en te exploiteren in overeenstemming met wereldwijde best practices.

Neem vandaag nog contact op met boek een demo.